社労士事務所の生成AI利用ルール整備｜私用AI対策の実務

• 2026年9月、従業員が私用の生成AIサービスに顧客の氏名・保険証番号・疾患情報などをアップロードし、企業が個人情報保護委員会へ報告・謝罪する事案が公表されました。
• 社労士事務所は顧問先従業員のマイナンバー・給与・健康情報を日常的に扱うため、一般企業以上に生成AI利用ルールの整備が急がれます。
• ルール整備は「入力禁止情報の洗い出し」「利用サービスの選定（ホワイトリスト方式）」「就業規則等への明文化」「周知・研修」の4ステップで進めるのが実務上の基本です。
• 禁止を徹底しすぎると、かえって従業員が私用ツールに流れる「シャドーAI」を招きかねません。用途ごとに許可レベルを分ける両立の設計が重要です。
• ルールの最終的な内容や懲戒規定への落とし込みは、社会保険労務士や弁護士等の専門家にご確認ください。

情報の基準日：2026年9月8日時点

「うちの事務所は大丈夫だろうか」——そんな不安がふとよぎった社労士の先生も多いのではないでしょうか。日々の労務相談・給与計算・手続き代行に追われる中で、事務所内の生成AI利用ルールまで手が回らない、という声もよく聞きます。しかし2026年9月、私用の生成AIサービスへ顧客の個人情報を誤ってアップロードし企業が謝罪する事案が報じられ、他人事ではありません。本記事では、この事案を出発点に、社労士事務所が押さえておきたい生成AI利用ルールの整備手順と注意点を整理します。

何が起きたのか——私用AIへの情報アップロード事案

生成AI利用ガイドラインとは、事務所内での生成AI利用の可否範囲・許可サービス・違反時の対応を定めた社内規程です。この必要性が改めて注目されたのが、2026年9月3日に公表された情報漏洩事案です。

ITmedia AI+の報道によれば、ある企業の従業員が、社内で許可されていない個人用の生成AIサービスに顧客情報を誤ってアップロードしました。漏洩情報には保険証記号番号・氏名・生年月日・住所や電話番号の一部に加え、要配慮個人情報にあたる特定保健指導の支援形態・疾患情報が含まれていたと報じられています。件数は記事に明記されていません。当該企業は個人情報保護委員会への報告を完了し、社内で未許諾の生成AIサービス利用禁止を改めて周知したとしています（ITmedia AI+「個人情報漏洩、私用の生成AIサービスへのアップロードが原因」）。

この事案の当事者は社労士事務所ではありませんが、扱われた情報（保険証番号、疾患情報など）は、社労士事務所が顧問先の労務相談・手続き代行で日常的に扱う情報とほぼ同じです。顧問先従業員のマイナンバー・給与・健康情報を預かる社労士事務所にとって、「私用の生成AIに誤って情報を入力してしまう」リスクは決して遠い話ではありません。移動中の電車内で、顧問先から届いた健康診断結果のPDFを確認しようとして、社内共有ツールのつもりで手元の私用AIアプリに貼り付けそうになった――そんなヒヤリとした経験に心当たりのある先生もいるのではないでしょうか。

ルール整備の4ステップ

生成AI利用ルールの整備は、次の4ステップで進めるのが実務上の基本的な流れです。

1. 入力禁止情報を洗い出す：個人情報（氏名・住所・電話番号など）、顧問先の顧客情報、給与・財務データ、社内機密情報をリスト化する
2. 利用してよいサービスを選定する（ホワイトリスト方式）：禁止サービスの特定ではなく、リスク分析を経て許可したサービスのみ使える方式が推奨される
3. 就業規則・ガイドラインへ明文化する：懲戒の対象とする場合、就業規則への明記と従業員への周知が前提となる
4. 周知・研修を継続する：作って終わりではなく、年1回以上の研修や定期的な見直しが望ましい

このうち2の「ホワイトリスト方式」は、法律事務所のコラムでも整理されています。「禁止するサービスのみを特定するブラックリスト方式」ではなく、リスク分析を経て認可したサービスのみを許可する「ホワイトリスト方式」が望ましく、個人情報や営業秘密を扱う場合は特に慎重な選別が必要と指摘されています（北浜法律事務所「生成AIの社内利用に関するルール作りのポイント」）。社労士事務所自身の発信としては、RESUS社会保険労務士事務所のコラムで、個人情報・顧客情報・給与データ・社内機密を「絶対禁止」、匿名化データや架空シナリオを「条件付きOK」と区分し、懲戒を発動する際は就業規則への明記が前提になること、ログ記録や報告体制を整える工夫が紹介されています（RESUS社会保険労務士事務所「中小企業のAI社内ルール（2026年度版）」）。

架空の例で考えてみましょう。社会保険労務士法人みなと労務の佐藤健一所長は、顧問先の株式会社羽鳥商会から届く従業員の健康診断結果や扶養控除等申告書のデータを日常的に扱っています。ある日、若手スタッフが個人契約のチャットAIをスマートフォンで使っていたことが分かり、幸い情報入力には至りませんでしたが、ルール整備の必要性を痛感したそうです。上記のステップを参考に簡易ガイドラインを作成し、スタッフに共有したといいます。もっとも順調だったわけではなく、共有直後は「議事録の要約もAIに頼ってはダメですか」といった質問が相次ぎ、線引きをその都度説明する手間が発生したそうです。

導入のハードルと向いていないケース

生成AI利用ルールの整備には、メリットだけでなく注意すべき点もあります。

禁止しすぎる副作用：個人情報を扱わない用途（会議メモの要約など）まで一律禁止にすると、現場が「隠れて」私用ツールを使う、いわゆる「シャドーAI」を招きかねません。実際、会議メモの要約をAIに任せていたスタッフが、一律禁止の通達後は表向き使わなくなった一方、「結局スマホの個人AIの方が早い」とこぼしていたという声も聞かれます。用途ごとに「禁止」「条件付き許可」「全面許可」を分けて検討することがポイントです。

完全な防止は難しい：個人のスマートフォンからの入力行為を、事務所側が完全に監視することは技術的に困難です。ルールの明文化に加え、法人向けAIサービス（入力内容が学習に使われない設定のもの）を用意し、私用ツールに頼らずに済む環境を整えることが現実的な対策になります。

小規模事務所での運用負荷：階層的な報告体制やログ管理は、スタッフ数の少ない事務所には荷が重い場合もあります。まずはリスト化と周知だけでも始め、段階的に整備を進めるのが現実的でしょう。

こうした情報管理の考え方は、他の士業にも共通します。弁護士会のガイドラインでも事務所運営における留意点が整理されており（弁護士会のガイドラインに学ぶ生成AI活用の実態と留意点）、弁護士・社労士の生成AI業務利用率は66%という調査結果も報じられています（弁護士・社労士の生成AI利用率66%、士業の活用実態まとめ）。株式会社Cosmico（東京都西新宿、AI/DXコンサルティング）では、士業事務所向けに生成AI利用ガイドラインの整備支援や、情報管理を前提としたAIエージェント（用語集：AIエージェントとは）の導入支援を行っています。

まとめ

私用の生成AIサービスへの情報アップロードによる漏洩事案は、社労士事務所にとっても他人事ではありません。その立場だからこそ、洗い出し・サービス選定・明文化・周知研修という4ステップの整備が実務上の備えになります。一方で禁止を徹底しすぎるとシャドーAIを招く副作用もあるため、用途ごとに許可レベルを分ける設計が欠かせません。佐藤所長のように、まずはリスト化という小さな一歩から始めてみてはいかがでしょうか。具体的な内容や懲戒規定への落とし込みは、社会保険労務士や弁護士等の専門家にご確認ください。